Tout ce qu’on sait sur l’achat des faux « j’aime » sur Instagram

Comme si une photo de smoothie, ce n'était pas déjà assez insignifiant, vous pouvez maintenant repousser les frontières de la vanité en faisant croire à votre entourage que les internets s'y intéressent. Eh oui, parce qu'on est en 2016, des gens déboursent leurs précieux sous pour avoir l'air populaire sur les réseaux sociaux.

En fait, on le savait déjà. Pas besoin d'une équipe de scientifiques pour vous le dire, une rapide recherche sur Google et BOOM, le succès est à votre porte. Mais la chercheure à GoSecure et étudiante en criminologie de l'Université de Montréal, Masarah Paquet-Clouston, est allée observer ces activités à la source, pour voir comment fonctionne ce qu'elle appelle « le marché de l'égo », où les « j'aime » et les abonnés se monnaient en quelques clics rapides.

On s'intéresse dans ce cas-ci à la fraude générée par Linux/Moose, un virus qui infecte habituellement des routeurs, ou autres appareils branchés à internet, plutôt que des ordinateurs. Ceux-ci sont ensuite contrôlés par des hackers, qui s'en servent comme proxy pour transmettre des commandes à distance. Cette activité passe complètement sous le radar.

Pour appâter les hackers et décrypter leur trafic, Masarah Paquet-Clouston a collaboré avec deux chercheurs de GoSecure et de l'entreprise de sécurité ESET, ainsi qu'avec David Décary-Hétu, professeur adjoint au département de criminologie de l'UdeM.

Ensemble, ils ont infecté 20 ordinateurs du virus Linux/Moose, et a attendu que les pirates mordent à l'hameçon. L'effet a été instantané. Au moyen de leurs 20 « pots de miel » placés tout autour du globe, l'équipe a pu décrypter les activités commerciales de ces hackers.

La majorité (86 %) du trafic des botnets ici observé était dirigé vers Instagram. En moyenne, 16 US$ achètent 1000 abonnés, et pour 159 US$, vous obtenez 10 000 « j'aime » sur vos photos et vidéos. Les commentaires, plus complexes à générer, sont plus onéreux. Pour avoir une centaine de commentaires sous vos publications, il faut débourser 72 US$.

Il s'agit assurément d'un marché lucratif, bien qu'il soit impossible d'en saisir l'ampleur. Les chercheurs n'ont pu identifier avec certitude qui a payé pour les faux abonnés – les robots suivent quelques pages de célébrités pour se donner une légitimité, sans que celles-ci aient payé un sou. D'ailleurs, on n'a ici accès qu'à un petit échantillon du marché, car on sait que les sites qui vendent des abonnés et des « j'aime » se chiffrent par milliers.

En analysant au mieux les données, les chercheurs estiment qu'un seul robot peut s'abonner et aimer suffisament de comptes pour générer 13,05 $ par mois. Avec à sa disposition un réseau de 50 000 robots, un hacker pourrait générer des revenus de 650 000 $ par mois.

Ceux qui paient pour des « j'aime » sont des entreprises ou des personnes peu connues, qui aspirent à la gloire ou à se donner une crédibilité. On retrouve des aspirants musiciens, mannequins, bloggeurs, acteurs, designers, tout comme des coiffeurs, tatoueurs, photographes, ou encore des magazines, des magasins de vêtements, d'électronique… Le spectre est assez varié.

On retrouve également ces gens ordinaires, ces narcisses 2.0, qui font la promotion de leur quotidien, de leur nourriture, des endroits visités et de ce qu'ils aiment.

J'ai testé pour mon propre plaisir un site de vente d'abonnés. Pour 5 US$, je me suis procuré 500 abonnés Instagram, qui ont commencé à me suivre en flot continu durant la rédaction de cet article. Si j'ai trouvé ça drôle des deux premières minutes, les deux heures qui ont suivi m'ont donné la nausée. Au moins, plus jamais je ne vivrai dans la honte de n'avoir que 186 abonnés. En plus, Selena Gomez s'est abonnée à ma page et je suis à 0,1 % sûre que c'est son vrai compte.

Pour passer sous le radar anti-spam d'Instagram, les robots passent une grande partie de leur temps à faire semblant d'être humain : 87 % de leurs activités sont dédiés à visiter le réseau social : ils regardent leur feed, leur messagerie, ils consultent des pages… Bref, ils se comportent comme n'importe quel étudiant dans un cours plate.

Mais attention, chers acheteurs, car ces faux comptes ne sont pas éternels, et vos abonnés pourraient disparaître aussi rapidement qu'ils sont apparus. Leurs noms composés de lettres et de chiffres aléatoires, leur absence de publications et d'abonnés finissent un jour par les rattraper. Parmi les 1732 faux comptes analysés par l'équipe, 72 % ont été suspendus. Selon le rapport de recherche, les hackers derrière ces bots semblent se concentrer sur leur capacité à s'abonner et à aimer des publications, plutôt qu'à se soucier de la longévité de leurs comptes.

L'étudiante Masarah Paquet-Clouston a remporté lundi le prix Mitacs, qui souligne une « innovation exceptionnelle ».

Suivez Justine de l'Église sur Twitter.